Manuel Statik Analiz — QuasarRAT (XRat) | Tehdit: YUKSEK
파일 Kimliği
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | starkbucks.exe ("Starbucks" tiposquatting!) |
| 크기 | 660.992 byte (.NET C#) |
| String Sayisi | 3.519 |
Starbucks Tiposquatting
Kamuflaj: "stark-bucks" → Starbucks'a benzer isim. İnsan gözüne ilk bakışta meşru görünüyor!
starkbucks.exe -- "Stark" + "bucks" = "Starbucks" visual confusaion -- Finans/para konusuyla ilgili lure -- Meşru Starbucks uygulaması gibi görünüyor
Coğrafi Konum Tespiti
https://freegeoip.net/xml/ -- Kurbanın IP → ülke/şehir bilgisi alınıyor -- Hedefli ülkelere seçici enfeksiyon (sandbox atlatma) -- freegeoip.net = ücretsiz IP geolocation API
AES Şifreleme
encryptionEnabled = true CreateEncryptor -- AES şifreleme başlat CreateDecryptor -- AES çözme
Bitcoin Cüzdanları
1AUY3PgS4r3UDo4iWXF1yB13xrq9 3KWcAMq2iQjetBTpn9rMLCBpbmIMPVL4
IOC
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Kamuflaj | starkbucks.exe (Starbucks tiposquat) |
| Geo | freegeoip.net/xml/ (coğrafi kontrol) |
| BTC | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 |
XRat — 악성코드 프로필
QuasarRAT/XRat .NET C# 2014. starkbucks.exe tiposquatting. freegeoip.net geo-check. AES.
악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
TCP
대상 시스템
Kuresel
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (2 개 지표)
IOC — XRat
# DOMAIN
freegeoip.net
# MUTEX
1AUY3PgS4r3UDo4iWXF1yB13xrq9
| 유형 | 값 | 메모 |
|---|---|---|
| domain | freegeoip.net | |
| mutex | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 | BTC cüzdanı |